Le credenziali utilizzate per connettersi a un provider SaaS esterno sono attualmente archiviate in testo in chiaro in un file di configurazione. Lo sviluppatore deve proteggere queste credenziali API e imporre la rotazione automatica ogni trimestre. Quale soluzione offre l'approccio più sicuro?

L'opzione corretta è archiviare le credenziali in AWS Secrets Manager con la rotazione abilitata e concedere all'applicazione l'autorizzazione per recuperarle. Secrets Manager è progettato specificamente per la gestione, l'archiviazione e la rotazione automatica di credenziali, chiavi API e altri segreti. Supporta la rotazione automatica con frequenze configurabili, inclusa la rotazione trimestrale richiesta, e si integra con altri servizi AWS per un accesso sicuro. Le altre opzioni sono meno appropriate: Crittografare il file di configurazione con KMS non risolve il problema della rotazione automatica o dell'archiviazione sicura delle credenziali in un sistema dedicato. Il file crittografato dovrebbe comunque essere decrittografato in qualche modo, esponendo potenzialmente la chiave di decrittazione. Ottenere credenziali temporanee da AWS STS è utile per le credenziali AWS, non per le credenziali di un provider SaaS esterno. STS non gestisce la generazione o la rotazione di credenziali esterne. AWS Systems Manager Parameter Store può archiviare parametri e segreti, ma la sua funzionalità di rotazione automatica è più limitata rispetto a Secrets Manager, che è ottimizzato per la gestione del ciclo di vita completo dei segreti, inclusa la rotazione complessa.